当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0145300

漏洞标题：36氪一次安全测试(涉及多个内部系统)

相关厂商：36氪科技博客

漏洞作者： 爱上平顶山

提交时间：2015-10-08 12:23

修复时间：2015-11-22 12:42

公开时间：2015-11-22 12:42

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-08： 细节已通知厂商并且等待厂商处理中
2015-10-08： 厂商已经确认，细节仅向厂商公开
2015-10-18： 细节向核心白帽子及相关领域专家公开
2015-10-28： 细节向普通白帽子公开
2015-11-07： 细节向实习白帽子公开
2015-11-22： 细节向公众公开

简要描述：

...

详细说明：

36氪
1、本来是准备完整测试的，后来发现没有vpn，并且：

0000.jpg


Hi，all，
    近期总有人在恶意尝试咱们员工的邮箱密码。请大家要注意保护好自己的邮箱，一旦被人攻入，后果可能非常严重。尤其是合伙人、人力、财务、技术部的同学，要特别小心。在此，我给大家一些能有效提升安全性的小技巧，也欢迎大家贡献其他好点子。安全都来没小事儿，需要大伙齐上阵。
1、在可信的主机上使用邮箱。避免在机场、网吧的公用主机上使用。
2、在可信的网络环境中使用邮箱。避免使用商场、公交的免费wifi或蹭网。
3、使用相当复杂的密码，例如我使用密码会形如：6^5qaXQr9G`tP。每个账号都是用不同的密码。
4、使用工具管理密码，比如KeePass、OnePass。但不要使用自带具有网络同步功能的密码管理工具。
5、周期性的变更密码
6、对于QQ邮箱，绑定微信，启用微信动态密码+信任计算机的方式


哗哗哗 过个节回来微信验证都开了 悲剧 提交之
2、Google bing 大数据泄露等等搞到个人：

张竞择
投融资服务  项目经理
手机：186****531
微信：sinozhang****
Email:zhangjingze@36kr.com
密码：if********1


mail未开启邮箱动态验证前是可以登录的

0000.jpg


000.jpg


00.jpg


3、氪加审核系统
各种权限

0.jpg


1.jpg


2.jpg


3.jpg


4.jpg


5.jpg


6.jpg


4、CRM

7.jpg


ok

漏洞证明：

···

修复方案：

加强安全

版权声明：转载请注明来源 爱上平顶山@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-10-08 12:40

厂商回复：

非常感谢。我们会尽快联系您，了解详细的漏洞情况。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-10-08 12:29 | we8_ ( 普通白帽子 | Rank:104 漏洞数:17 | we8)

    666

  2. 2015-10-08 13:18 | DNS ( 普通白帽子 | Rank:455 漏洞数:53 | 猜猜我是谁？)

    卧槽 是不是好多大神的创业计划书，来一份，我要创业

  3. 2015-10-08 14:54 | sql小神 ( 路人 | Rank:19 漏洞数:4 | 有些漏洞可以提，有些漏洞不可以提。)

    不知道平顶山和海绵宝宝，谁更yd一些

  4. 2015-10-08 16:16 | 带我玩 ( 路人 | Rank:12 漏洞数:6 | 带我玩)

    @sql小神 两个人都YD.YD是不需要比较的